Ajuste de ruido y lista de excepciones

Una regla ruidosa tiene tres salidas. Apagarla elimina el ruido y la vigilancia a la vez. Dejarla como está cansa al equipo y acaba en alertas cerradas sin leerlas. Afinarla es la tercera: encontrar qué producen los disparos legítimos y excluir exactamente eso, con una condición lo bastante estrecha para que un caso malo parecido no quede excluido también.

Lo que se excluye es una identidad concreta o una dirección concreta, no un patrón amplio. Y toda exclusión es una deuda: lleva dueño y una fecha en que se vuelve a revisar.

Abre resumen-30-dias.csv: los disparos de la regla de lectura masiva agrupados por actor y la disposición que el equipo les dio. Antes de proponer una exclusión se mira de dónde viene la mayor parte del ruido.

La tasa de falsos positivos de una regla es la proporción de sus disparos que resultaron ser actividad legítima. Es la cifra que se vigila cada mes: una regla cuya tasa sube es una regla que el equipo empezará a ignorar. Se calcula con todos los disparos del periodo: los legítimos entre el total.

Abre politica-de-excepciones.txt y excepciones-propuestas.yml. La política pide condiciones acotadas, con dueño y con caducidad. Una condición con un patrón que cubre nombres que todavía no existen es una excepción para el futuro, y el futuro incluye cuentas que alguien más cree. Revisa las tres propuestas con ese criterio.

La política también dice que no se excluye a una identidad con incidentes confirmados en el periodo. La razón es sencilla: la exclusión haría invisible justo lo que la regla existe para ver. Cruza el resumen de actores con las tres propuestas.